ДЕКАБРЬ. Incident response: первые 60 минут ransomware, роли, изоляция, credentials, логи и доказательства

Во время инцидента дорого стоит не только неправильное действие. Дорого стоит ожидание: кто имеет право отключить сервер, можно ли заблокировать учётную запись руководителя, кому звонить, где хранится резервная коммуникация и кто отвечает за доказательства. Эти вопросы нужно решить до первого ransomware alert.

  

Tabletop на одном сценарии

Не нужны большие учения на целый день. Дайте команде сценарий: на критичном сервере обнаружено шифрование, одновременно есть подозрительный вход под административной учётной записью. За 20 минут участники должны назвать владельца решения, технического лидера, действия по containment, identity, logging, backup и коммуникациям.

 

Почему единая картина важна

Microsoft DART в июне 2026 описала расследование, которое начиналось как привычный ransomware-инцидент, но привело к обнаружению второго независимого атакующего в той же среде. Их активность перекрывалась и усложняла атрибуцию. Чтобы разделить два intrusion stream, DART коррелировала данные identity, endpoint и cloud.

 

Что должно произойти в первые 60 минут

Подтвердить инцидент, определить критичные системы, изолировать там, где это безопасно, ограничить скомпрометированные credentials, сохранить журналы и volatile evidence, защитить backup, открыть отдельный канал коммуникации, зафиксировать решения и время. Порядок может отличаться, но роли должны быть известны заранее.

 

Проверка пройдена, если

Для первых действий не нужно созывать совещание и выяснять, кто имеет полномочия. Есть список контактов, резервный канал связи, понятный владелец incident command, технические playbooks и процедура сохранения доказательств.

 

Чего не делать

Не начинать с тотального выключения всего без понимания зависимости, не уничтожать volatile evidence, не проводить password reset хаотично, не использовать потенциально скомпрометированный корпоративный чат как единственный канал и не откладывать юридическую или управленческую эскалацию до конца технического расследования.

 

Как это связано с решениями Смарт-Софт

Pereluk может быть слоем корреляции и автоматизации реакции — он помогает быстрее увидеть инцидент и запустить типовые действия. Но он не заменяет процесс incident response: полномочия, коммуникации, приоритеты и ответственность остаются организационной задачей. Технология ускоряет обнаружение, но решение принимает человек.

 

Что сделать сегодня

• Собрать 3–5 участников на 20 минут.
• Проиграть ransomware на критичном сервере.
• Зафиксировать, где команда остановилась из-за неизвестных полномочий или контактов.

 

Источники

• Microsoft Defender Experts Cybersecurity Incident Response. One intrusion, two cyberattackers: Uncovering parallel threat activity. 22.06.2026.

 
Последняя техническая проверка: 14.10.2026.